VPN tajmer neaktivnosti broji promet, a ne tastaturu
Neaktivnost gatewaya prati pakete na tunelu, a ne vašu tastaturu. Razdvojite tajmere neaktivnosti, sesije i zaključavanja ekrana prije nego što promijenite bilo koji.
Tajmer koji prekida neaktivnu VPN sesiju broji pakete, a ne pritiske na tastaturi. On posmatra odsustvo komunikacije na tunelu, pa laptop s poštom, agentom za rezervne kopije ili chat klijentom u pozadini nikada mu ne izgleda neaktivan. Ta jedna činjenica objašnjava oba smjera uobičajene žalbe: sesiju koja preživi dugi ručak i sesiju koja umre usred aktivnog rada. Odredite s kojim satom se borite prije nego što počnete tražiti postavku.
Šta tajmer zapravo posmatra
Na Cisco ASA parametar je vpn-idle-timeout, postavlja se u grupnoj ili korisničkoj politici i mjeri period bez komunikacijske aktivnosti. Jedinica je minuta, zadana vrijednost se nasljeđuje, a provjera se izvodi prema brojačima prometa u sesiji, a ne prema onome što operativni sistem zna o ulaznim uređajima. Gateway nema pojma je li čovjek za tastaturom. Zna kada je posljednji put vidio paket od tog klijenta.
Drugi sat je vpn-session-timeout i on je apsolutan. Počinje kad se sesija uspostavi i ističe bez obzira na to koliko je tunel zauzet. Sesija koja završi nakon tačno jednog sata teškog korištenja je taj tajmer, a ne tajmer neaktivnosti, i nikakva količina tipkanja ga neće produžiti.
Pročitajte obje vrijednosti prije nego što promijenite bilo koju, jer one otkazuju na način koji s korisničke stolice izgleda identično.
Tri različita sata koja ljudi nazivaju neaktivnošću
Tri nepovezane politike opisuju se kao tajmer neaktivnosti, a samo jedna od njih odnosi se na mrežnu tišinu.
| Measure | What it observes | How it fails |
|---|---|---|
| Gateway idle timeout | No packets from the client on the tunnel | Drops after a quiet period, survives background traffic |
| Gateway session timeout | Elapsed time since the session was established | Drops at a fixed interval no matter how active the tunnel is |
| Screen lock and device policy | Human presence at the device | Session stays up while the laptop sits unattended and unlocked |
Treći red je ono što ljudi zapravo žele kada kažu da se VPN treba zaključati kad neko odstupi. VPN tajmer ne može mjeriti prisustvo. Ako je zahtjev da laptop bez nadzora izgubi pristup, mjesto za to je politika zaključavanja ekrana i politika uređaja, gdje se može provesti bez obzira na pozadinski promet.
Miješanje troje daje zahtjeve poput prekini nakon trideset minuta bez tipkanja, koje nijedan VPN gateway ne može iskreno implementirati.
Nađite politiku koja posjeduje ovu vezu
Identificirajte klijenta i protokol prije nego što tražite postavku. Ugrađeni Cisco IPsec profil u macOS-u, izvorna L2TP veza i Cisco Secure Client ne nude iste kontrole, a snimka ekrana polja prekini ako je neaktivno u jednom od njih nije dokaz o ostalima. Izvorni profili nude malo osim servera, računa i dijeljene tajne. Tajmer živi na gatewayu.
Na ASA pročitajte efektivnu politiku za korisnika ili grupu, a ne zadanu politiku za sve:
show running-config group-policy NAME | include timeout
show vpn-sessiondb detail anyconnect filter name USERIzlaz s detaljima sesije navodi neaktivnost i vremenska ograničenja sesije koji su stvarno primijenjeni, uz preostalo vrijeme. To je efektivna politika, uključujući nasljeđivanje, što vam isječak running-config ne može reći. Uporedite je s grupom za koju mislite da je korisnik u njoj, jer korisnička politika nadjačava grupnu.
Zašto vaš Mac izgleda povezano nakon trideset minuta
Pozadinski promet je uobičajen odgovor i to nije greška. Pošta, sinhronizacija fotografija, provjera ažuriranja, chat klijent koji drži socket otvoren ili kartica preglednika s web socketom svaki stvara pakete koje gateway računa kao aktivnost. Tunel ostaje otvoren jer se stvarno koristi, samo ne od vas. Gledajte brojače, a ne ekran, ako želite dokaz.
Zrcalna slika je sesija koja padne dok tipkate, a to je vremensko ograničenje sesije ili promjena politike od administratora, ne neaktivnost.
Postoji i efekat na strani klijenta koji vrijedi znati. Neki klijenti šalju vlastite keepalive ili dead-peer probe, a ti paketi resetiraju gatewayov brojač neaktivnosti. Zato keepalive dodan da pobijedi vremensko ograničenje funkcioniše i zato je pogrešan alat: mijenja dokaz koji tajmer vidi, a ne mijenja zahtjev za autorizaciju iza politike.
Promijenite pravi parametar bez rušenja njegove svrhe
Ako je cilj prekinuti klasu veza nakon odobrene mrežne neaktivnosti, tražite upravo to u jeziku politike i držite maksimalno trajanje sesije kao odvojenu i namjernu vrijednost. Zatim to testirajte prema administratorovoj proceduri, uz uračunat pozadinski rad.
Ako je cilj zaustaviti pristup kada osoba napusti radni sto, VPN je pogrešan sloj za to provođenje.
Nikada ne dodajte keepalive koji generiše promet samo da bi sesija preživjela politiku napisanu da je okonča. To pretvara kontrolu u formalnost i otkriva se na reviziji, a ne u tiketu. Promijenite politiku ili promijenite zahtjev.